numărul 17, martie 2010 - Serviciul Român de Informaţii

6
2
m
a
rt
ie 1
99
0
◦ securitatea criptografică; ◦ autotestele efectuate de modulul criptografic la
◦securitatea emisiilor electromagnetice (TEMPEST). pornire, spre exemplu integritatea componentei
Mai nou, datorită infrastructurilor critice, a software, autenticitatea rutinelor criptografice, sau la
a p ă r u t c o n c e p t u l d e I N F O R M AT I O N efectuarea operaţiilor critice;
ASSURANCE (ce cuprinde proceduri de recuperare a ◦ siguranţa proiectării este pusă în evidenţă de modul
informaţiei în caz de dezastru etc.). în care a fost proiectat echipamentul (documentaţia de
Articolul de faţă se încadrează în domeniul execuţie şi pusă la dispoziţie utilizatorului);
securităţii criptografice şi se ocupă, în principal, cu ◦ analiza în mediul de implementare presupune
evaluarea nivelului de încredere într-un modul abordarea anumitor atacuri nestandard aflate la
criptografic. După cum se ştie, integrarea necesităţilor frontiera dintre modelul teoretic şi realitatea fizică,
de securitate a informaţiilor cuprinde următoarele cum ar fi atacul prin măsurarea timpului de execuţie a
aspecte: anumitor funcţii criptografice, a puterii consumate
◦ Disponibilitatea: asigurarea faptului că utilizatorii etc.
autorizaţi au acces la informaţie, precum şi la resursele Principalele standarde internaţionale ce stau
asociate, atunci când este necesar; la baza evaluării nivelului de încredere în sistemele
◦ Confidenţialitatea: asigurarea accesibilităţii criptografice sunt : FIPS PUB 140-2 (Standard NIST-
informaţiei numai celor autorizaţi să aibă acces; National Institute for Standards and Technologies
◦ Integritatea: păstrarea acurateţei şi completitudinii [5]), acceptat ca standard de facto de comunitatea
informaţiilor, precum şi a metodelor de procesare; criptologică internaţională şi Common Criteria
◦ Autentificarea: informaţia provine de la cel care a (cunoscut şi sub acronimul de ISO 15408 [8]). Pe plan
pretins că a elaborat-o; naţional, Oficiul Registrului Naţional al Informaţiilor
◦ Nerepudierea: informaţia, odată emisă, nu poate fi Secret de Stat a elaborat directivele INFOSEC - 5
repudiată de către emitent. privind Catalogul Naţional cu Produse, Profile şi
Definiţiile tehnice ale elementelor mai sus Pachete de Protecţie INFOSEC, precum şi
prezentate se pot regăsi în orice manual de securitate a INFOSEC -14 privind Metodologia de Evaluare şi
informaţiei sau standard de referinţă ([5],[8]). Certificare de Produse, Profile şi Pachete de Protecţie
Problema de evaluare criptografică, conform INFOSEC.
normelor internaţionale şi naţionale (spre exemplu Cadrul de testare criptografică este organizat
standardul FIPS PUB 140-2), se rezumă la analiza pe patru straturi, conform figurii 1.
următoarelor aspecte:
◦ specificarea modului criptografic prin descrierea
acestuia, a algoritmilor şi a funcţiilor criptografice
utilizate, descrierea componenţei hardware şi software
şi specificarea politicii de securitate a acestuia;
◦ porturile şi interfeţele modulului criptografic prin
specificarea acestora;
◦ metodele de identificare/autentificare, în sensul
autentificării pe bază de rol, identitate sau multifactor
(spre exemplu parolă, token şi măsură biometrică,
autentificarea multifactor fiind introdusă în draftul
FIPS PUB 140-3);
◦ modelul de stări finite ale echipamentului prin
specificarea stărilor de introducere de chei, a stărilor
de funcţionare (pornit/oprit sau eroare) sau a stărilor În fapt,
de mentenanţă; ◦ elaborarea, testarea şi verificarea algoritmilor
◦ securitatea fizică prin specificarea tuturor măsurilor criptografici ţin de competenţa organismelor cu
de securitate fizică luate la nivelul carcasei aparatului atribuţii în domeniu. La nivel internaţional, nu există
(sigilii, senzori de vibraţie sau volum, contacte fizice) şi un set de criterii bine definite care să se constituie în
a răspunsurilor (ştergerea cheilor criptografice, condiţii suficiente de apreciere a rezistenţei din punct
jurnalizări, alarme etc.) în caz de incidente de vedere criptografic a algoritmilor criptografici, cu
criptografice; atât mai mult încadrarea acestora într-o anumită
◦ mediul de operare se evaluează din perspectiva categorie de clasificare.
Criteriilor Comune (ISO 15408) de evaluare a ◦ testarea şi evaluarea modulului criptografic sunt
nivelului de încredere în sistemul informatic; realizată de Laboratoarele de Evaluare si Testare
◦ managementul cheilor criptografice prin specificarea Criptografică.
modalităţii de generare, transport, distribuţie, În prezent, în România există trei Laboratoare de
încărcare, validare, arhivare şi distrugere a cheilor Evaluare a Produselor Criptografice, acreditate la
criptografice utilizate de echipament; nivel naţional de către Oficiul Registrului Naţional al
◦ interferenţa electromagnetică;
INTELLIGENCE
Algoritm
Modul Criptografic
Produs
Aplicatie/ Sistem
Figura 1. Cadrul de testare criptografică